Guide • Compliance • 16 λεπ. ανάγνωσης
GDPR για το HR: σωστή διαχείριση των δεδομένων εργαζομένων
Πώς να επεξεργάζεστε νόμιμα τα προσωπικά δεδομένα των εργαζομένων σύμφωνα με τον GDPR — νόμιμες βάσεις, διατήρηση, δικαιώματα, ασφάλεια και διεθνείς διαβιβάσεις.
Τα δεδομένα ανθρώπινου δυναμικού είναι δεδομένα υψηλού κινδύνου
Οι λειτουργίες ανθρώπινου δυναμικού χειρίζονται ορισμένα από τα πιο ευαίσθητα προσωπικά δεδομένα σε κάθε οργανισμό: στοιχεία επικοινωνίας, μισθό, τραπεζικές πληροφορίες, αρχεία απόδοσης, πληροφορίες υγείας και, μερικές φορές, ελέγχους ποινικού μητρώου. Σύμφωνα με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (GDPR) και τις εθνικές του εφαρμογές — τον Irish Data Protection Act 2018 και το UK GDPR / Data Protection Act 2018 — τα δεδομένα αυτά πρέπει να επεξεργάζονται νόμιμα, δίκαια και με διαφάνεια.
Η σωστή εφαρμογή αυτού είναι τόσο νομική υποχρέωση όσο και ζήτημα εμπιστοσύνης. Οι εργαζόμενοι είναι υποκείμενα δεδομένων με εκτελεστά δικαιώματα, και η Data Protection Commission στην Ιρλανδία (ή το ICO στο Ηνωμένο Βασίλειο) μπορεί να διερευνά καταγγελίες και να επιβάλλει σημαντικά πρόστιμα. Αντιμετωπίστε τα δεδομένα εργαζομένων με την ίδια αυστηρότητα που θα εφαρμόζατε στα δεδομένα πελατών.
Επιλογή νόμιμης βάσης
Κάθε δραστηριότητα επεξεργασίας χρειάζεται νόμιμη βάση. Ένα συνηθισμένο λάθος είναι η επίκληση της συγκατάθεσης για τη σχέση εργασίας. Λόγω της ανισορροπίας ισχύος μεταξύ εργοδότη και εργαζομένου, η συγκατάθεση σπάνια δίνεται ελεύθερα και συνεπώς συνήθως δεν είναι η σωστή βάση για την βασική επεξεργασία HR. Πιο κατάλληλες βάσεις είναι συνήθως η εκτέλεση της σύμβασης εργασίας, η συμμόρφωση με νομική υποχρέωση (για παράδειγμα φορολογική αναφορά και αναφορά προς τις φορολογικές αρχές), και τα έννομα συμφέροντα.
Τα δεδομένα ειδικής κατηγορίας — συμπεριλαμβανομένων πληροφοριών υγείας που χρησιμοποιούνται για άδεια ασθενείας ή για σκοπούς επαγγελματικής υγείας — χρειάζονται επιπλέον προϋπόθεση βάσει του Article 9, συχνά σχετική με το εργατικό δίκαιο, την κοινωνική ασφάλιση και την κοινωνική προστασία. Αντιστοιχίστε κάθε τύπο επεξεργασίας ανθρώπινου δυναμικού στη βάση και την προϋπόθεσή του και καταγράψτε τη συλλογιστική.
Διαφάνεια και δικαιώματα υποκειμένων δεδομένων
Οι εργαζόμενοι πρέπει να ενημερώνονται, σε σαφή γλώσσα, για το ποια δεδομένα διατηρείτε, γιατί, για πόσο χρόνο τα διατηρείτε και με ποιον τα μοιράζεστε. Αυτό συνήθως παρέχεται μέσω ενημέρωσης απορρήτου εργαζομένου, ξεχωριστής από την πολιτική απορρήτου προς πελάτες. Παρέχετέ την κατά την πρόσληψη και διατηρείτέ την επικαιροποιημένη.
Τα υποκείμενα δεδομένων μπορούν να ασκούν δικαιώματα, συμπεριλαμβανομένων της πρόσβασης (το αίτημα πρόσβασης υποκειμένου), της διόρθωσης, της διαγραφής σε ορισμένες περιπτώσεις, του περιορισμού και της εναντίωσης. Να υπάρχει τεκμηριωμένη διαδικασία ανταπόκρισης εντός της νόμιμης προθεσμίας (γενικά ένας μήνας). Το HR είναι συχνός αποδέκτης αιτημάτων πρόσβασης, οπότε προγραμματίστε πώς θα εντοπίζετε και θα αποχαρακτηρίζετε πληροφορίες που τηρούνται σε διάφορα συστήματα.
Διατήρηση, ελαχιστοποίηση και ασφάλεια
Μην διατηρείτε τα δεδομένα περισσότερο από όσο είναι αναγκαίο. Δημιουργήστε ένα πρόγραμμα διατήρησης που αντικατοπτρίζει τόσο τις νομικές απαιτήσεις (αρχεία μισθοδοσίας και φόρων, αρχεία χρόνου εργασίας, τεκμηρίωση υγείας και ασφάλειας) όσο και την πραγματική επιχειρηματική ανάγκη, και διαγράψτε ή ανωνυμοποιήστε τα πέραν αυτών των περιόδων. Συλλέγετε μόνο όσα πραγματικά χρησιμοποιείτε — η ελαχιστοποίηση των δεδομένων είναι αρχή, όχι λεπτομέρεια.
Η ασφάλεια είναι νομική απαίτηση, όχι απλώς καλή πρακτική. Εφαρμόστε πρόσβαση βάσει ρόλου ώστε οι προϊστάμενοι να βλέπουν μόνο ό,τι χρειάζονται, κρυπτογραφήστε τα δεδομένα κατά τη μεταφορά και σε rest, και τηρείτε ίχνος ελέγχου για το ποιος προσέβαλε τι. Ένα αξιόπιστο HRIS σάς παρέχει λεπτομερή δικαιώματα και καταγραφή πρόσβασης εξαρχής, κάτι πολύ ασφαλέστερο από το να διασκορπίζονται τα δεδομένα εργαζομένων σε υπολογιστικά φύλλα και κοινόχρηστους δίσκους.
Διεθνείς διαβιβάσεις και προμηθευτές
Εάν το λογισμικό ανθρώπινου δυναμικού ή ο πάροχος μισθοδοσίας σας αποθηκεύει δεδομένα εκτός του Ευρωπαϊκού Οικονομικού Χώρου, πρέπει να διασφαλίσετε κατάλληλο μηχανισμό διαβίβασης — απόφαση επάρκειας, τυποποιημένες συμβατικές ρήτρες ή ισοδύναμες εγγυήσεις. Από το Brexit και μετά, οι διαβιβάσεις μεταξύ της ΕΕ και του Ηνωμένου Βασιλείου καλύπτονται από το καθεστώς επάρκειας του Ηνωμένου Βασιλείου, αλλά αυτό θα πρέπει να παρακολουθείται, καθώς υπόκειται σε επανεξέταση.
Κάθε φορά που χρησιμοποιείτε τρίτο μέρος για την επεξεργασία δεδομένων εργαζομένων, χρειάζεστε γραπτή συμφωνία επεξεργασίας δεδομένων που να καθορίζει τις υποχρεώσεις του, και θα πρέπει να διενεργείτε δέουσα επιμέλεια για τη στάση του ως προς την ασφάλεια. Διατηρήστε αρχείο των εκτελούντων την επεξεργασία σας και του τόπου φιλοξενίας των δεδομένων, ώστε να μπορείτε να απαντάτε σε ερωτήσεις και να ανταποκρίνεστε γρήγορα σε περιστατικά.
